Phishing-Mails erkennen: Merkmale, Beispiele und was nach dem Klick zu tun ist

Phishing-Mails erkennen: Merkmale, Beispiele und was nach dem Klick zu tun ist

Phishing-Mails sehen heute aus wie echte Nachrichten Ihrer Bank, von PayPal oder DHL. Dieser Ratgeber zeigt die Merkmale, an denen Sie sie trotzdem erkennen, was Sie nach einem Klick tun müssen und wo Sie Phishing melden.

Von der Betrugs-Checker-Redaktion · Aktualisiert:

Das Wichtigste in Kürze

  • Phishing-Mails wollen Sie auf eine gefälschte Login-Seite locken oder einen Anhang öffnen lassen – Ziel sind Passwörter, Kartendaten und TANs.
  • Rechtschreibfehler sind kein Kriterium mehr: KI-generierte Mails sind fehlerfrei. Entscheidend sind Absenderadresse, Link-Ziel und die Aufforderung selbst.
  • Keine Bank, kein Zahlungsdienst und keine Behörde fragt per E-Mail nach PIN, TAN oder vollständigen Kartendaten.
  • Fahren Sie mit der Maus über den Link (oder halten Sie ihn am Handy gedrückt): Das echte Ziel steht in der Statuszeile – nicht im Linktext.
  • Bereits geklickt und Daten eingegeben? Passwort ändern, Bank informieren, Karte über 116 116 sperren, Anzeige erstatten.

Was ist Phishing?

Phishing ist der Versuch, Sie mit einer gefälschten Nachricht zur Herausgabe vertraulicher Daten zu bringen. Die E-Mail gibt sich als Bank, Zahlungsdienst, Paketdienst, Behörde oder Streaming-Anbieter aus und fordert Sie auf, einen Link zu klicken oder einen Anhang zu öffnen. Der Link führt auf eine täuschend echte Kopie der Login-Seite. Was Sie dort eingeben – Passwort, Kartennummer, TAN – landet direkt bei den Tätern.

Das Wort setzt sich aus „Password“ und „Fishing“ zusammen: Die Täter werfen die Angel massenhaft aus und warten, wer anbeißt. Neben E-Mails läuft Phishing auch per SMS (Smishing), über QR-Codes (Quishing) und per Anruf (Vishing).

Was die Täter mit Ihren Daten machen

  • Bankzugang: Überweisungen auslösen, oft in Kombination mit einem Anruf, der Sie zur TAN-Freigabe drängt.
  • Kartendaten: Online-Einkäufe, Registrierung der Karte in fremden Wallets (Apple Pay, Google Pay).
  • E-Mail-Passwort: Zugriff auf alle Konten, die per „Passwort vergessen“ an diese Adresse hängen – siehe Identitätsdiebstahl.
  • Ausweisdaten: Kontoeröffnung und Kredite in Ihrem Namen.

Die 10 wichtigsten Merkmale einer Phishing-Mail

Prüfen Sie diese Punkte der Reihe nach. Schon ein einziger Treffer bei den Punkten 1 bis 4 reicht, um die Mail zu löschen.

  1. Die Absenderadresse passt nicht zur Domain. Der Anzeigename lautet „Sparkasse“, die Adresse dahinter aber „service@sparkasse-sicherheit-2026.com“ oder „kundenservice@mail-info.net“. Echte Absender enden auf die bekannte Hauptdomain (sparkasse.de, paypal.de, dhl.de).
  2. Der Link führt woandershin. Fahren Sie mit der Maus über den Button – ohne zu klicken. Am Handy: Link gedrückt halten. Die angezeigte Zieladresse muss zur Marke passen. Tarnungen sind zum Beispiel „paypal.de.konto-verify.com“ (die echte Domain ist hier „konto-verify.com“) oder Link-Verkürzer.
  3. Sie sollen Daten eingeben oder bestätigen. PIN, TAN, Passwort, Kartennummer, Ausweisfoto – kein seriöser Anbieter fragt so etwas per Mail ab.
  4. Es gibt einen Anhang, den Sie nicht erwarten. Rechnungen, Mahnungen oder „Dokumente“ als ZIP, HTML oder Office-Datei mit Makros enthalten häufig Schadsoftware.
  5. Druck und Frist. „Ihr Konto wird in 24 Stunden gesperrt“, „letzte Mahnung“, „sofort handeln“.
  6. Unpersönliche Anrede. „Sehr geehrter Kunde“ statt Ihres Namens – allerdings kennen viele Täter den Namen inzwischen aus Datenlecks.
  7. Ein Anliegen, das keinen Bezug zu Ihnen hat. Ein Paket, das Sie nicht bestellt haben, eine Rechnung für einen Dienst, den Sie nicht nutzen.
  8. Die Mail kommt zur falschen Zeit oder über den falschen Kanal. Ihre Bank kommuniziert im Online-Banking-Postfach, das Finanzamt per Brief oder ELSTER, nie per Mail-Anhang.
  9. Abweichungen im Detail. Altes Logo, ungewohnte Formulierungen, fehlende Fußzeile mit Impressum, falsche Rechtsform.
  10. Die Mail landet ungefragt mit einem „Sicherheitshinweis“. Angebliche „verdächtige Anmeldung“ oder „neues Gerät“ – prüfen Sie so etwas immer direkt in der App, nie über den Link.

Was kein sicheres Kriterium mehr ist: Rechtschreibfehler. Seit Täter Texte mit KI erzeugen, sind Phishing-Mails sprachlich einwandfrei. Verlassen Sie sich auf Absender, Link-Ziel und Aufforderung.

Nachgestellte Phishing-E-Mail im Namen einer Bank mit markierten Warnzeichen
Gefälschte Bank-E-Mail: Die Markierungen zeigen typische Warnzeichen – Absenderadresse ohne Bezug zur Bank, Zeitdruck und ein Link, der nicht zur echten Domain führt. Nachgestelltes Beispiel · Betrugs-Checker

Echte Beispiele: So sehen aktuelle Phishing-Mails aus

Die Absender wechseln mit den Jahreszeiten – Paketdienste vor Weihnachten, Finanzamt zur Steuererklärung, Streaming-Dienste rund ums Jahr. Die Muster bleiben gleich.

Bank und Sparkasse: „Neues Sicherheitsverfahren“

Betreff: Wichtig: Aktualisierung Ihres pushTAN-Verfahrens erforderlich
„Sehr geehrte Kundin, sehr geehrter Kunde, aufgrund neuer EU-Richtlinien müssen Sie Ihr Sicherheitsverfahren bis zum 30.09. bestätigen. Andernfalls wird Ihr Online-Banking vorübergehend eingeschränkt. Jetzt bestätigen →“

Erkennungsmerkmal: Banken führen Verfahren in der App oder per Brief ein, nie per Link in einer Mail. Details zu den Sparkassen-Varianten finden Sie unter Sparkasse-Mail prüfen.

PayPal: „Ungewöhnliche Aktivität“ oder „Zahlung an XY“

Betreff: Ihr Konto wurde vorübergehend eingeschränkt
„Wir haben ungewöhnliche Aktivitäten festgestellt. Bitte bestätigen Sie Ihre Identität innerhalb von 48 Stunden, um die Einschränkung aufzuheben.“

Eine zweite Variante nutzt echte PayPal-Funktionen: Sie erhalten eine echte Zahlungsanforderung oder Rechnung über PayPal, in deren Text eine Telefonnummer steht („Falls Sie diese Zahlung nicht autorisiert haben, rufen Sie an“). Am Telefon wartet der Betrüger. Mehr unter PayPal-Mail prüfen.

DHL, Hermes, DPD: „Paket konnte nicht zugestellt werden“

„Ihr Paket wartet im Verteilzentrum. Bitte zahlen Sie die ausstehende Zollgebühr von 1,99 €, damit die Zustellung erfolgen kann.“

Die Kleinstgebühr dient nur dazu, Ihre Kartendaten zu erfassen. Mehr unter DHL-Mail prüfen.

Amazon, Netflix, Telekom: „Zahlungsproblem“

„Ihre Zahlungsmethode konnte nicht belastet werden. Aktualisieren Sie Ihre Zahlungsdaten, um eine Unterbrechung Ihres Abonnements zu vermeiden.“

Finanzamt und ELSTER: „Steuerrückerstattung“

„Sie haben Anspruch auf eine Steuerrückerstattung von 384,50 €. Bestätigen Sie Ihre Bankverbindung über das beigefügte Formular.“

Das Finanzamt versendet Bescheide per Post oder in Ihr ELSTER-Postfach – niemals mit Anhang oder Link zur „Rückerstattung“. Mehr unter Finanzamt-Mail prüfen.

Ihr eigener Chef: CEO-Fraud

In Unternehmen bitten angebliche Geschäftsführer per Mail um eine „vertrauliche, dringende Überweisung“. Diese Spear-Phishing-Variante ist gezielt vorbereitet und verwendet echte Namen aus dem Impressum oder LinkedIn. Rückruf unter der bekannten Nummer ist Pflicht.

Spam oder Phishing? Der Unterschied

Beide landen ungefragt im Postfach, aber sie sind nicht dasselbe:

SpamPhishing
ZielWerbung, Verkauf, AufmerksamkeitIhre Zugangsdaten, Ihr Geld, Ihr Gerät
Absenderoft erkennbar fremdgibt sich als bekannte Marke aus
Aufforderung„Jetzt kaufen“, „Angebot ansehen“„Konto bestätigen“, „Daten aktualisieren“, „Anhang öffnen“
GefahrlästigDatendiebstahl, Kontoplünderung, Schadsoftware
Richtige Reaktionlöschen, Absender blockierennicht klicken, melden, löschen

Ein Sonderfall sind Scam-Mails: Gewinnbenachrichtigungen, Erbschaften, angebliche Erpressung mit Webcam-Aufnahmen („Sextortion“) oder Job-Angebote. Sie wollen kein Passwort, sondern eine Vorauszahlung. Mehr dazu unter Gewinnversprechen.

So prüfen Sie eine verdächtige Mail in 30 Sekunden

  1. Absender aufklappen. Tippen oder klicken Sie auf den Anzeigenamen, damit die vollständige Adresse erscheint. Prüfen Sie den Teil nach dem @ bis zum ersten Schrägstrich.
  2. Link-Ziel anzeigen. Maus über den Link halten (Desktop) oder Link lange drücken (Smartphone). Lesen Sie die Domain von rechts: „paypal.de.sicher-login.com“ gehört zu „sicher-login.com“.
  3. Frage stellen: Was soll ich tun? Daten eingeben, Anhang öffnen, Geld zahlen, anrufen? Dann ist die Mail bis zum Beweis des Gegenteils Phishing.
  4. Direktweg nehmen. Öffnen Sie die App oder tippen Sie die Adresse der Bank selbst in den Browser. Steht dort keine Meldung, war die Mail gefälscht.
  5. Im Zweifel prüfen lassen. Kopieren Sie den Mail-Text in den E-Mail-Check oder leiten Sie die Mail an unsere Prüfadresse weiter – wir analysieren Absender, Header, Links und Anhänge und geben eine Einschätzung.

Wichtig: Antworten Sie nie auf die Mail, rufen Sie keine Nummer aus der Mail an und klicken Sie auch nicht auf „Abmelden“-Links in verdächtigen Nachrichten. Jede Reaktion bestätigt den Tätern, dass Ihre Adresse aktiv ist.

Phishing-Link geklickt oder Daten eingegeben – was jetzt?

Bleiben Sie ruhig und handeln Sie in dieser Reihenfolge. Je nachdem, was passiert ist, gelten unterschiedliche Schritte.

Nur geklickt, nichts eingegeben

Meist passiert nichts – moderne Browser und Betriebssysteme verhindern eine Infektion durch reines Öffnen einer Seite in aller Regel. Trotzdem: Browser schließen, Virenscanner laufen lassen, keine Downloads aus der Seite ausführen. Beobachten Sie in den nächsten Tagen, ob weitere Nachrichten oder Anrufe kommen.

Passwort eingegeben

  1. Sofort das Passwort beim echten Anbieter ändern – über die App oder die selbst eingetippte Adresse.
  2. Dasselbe Passwort auch überall dort ändern, wo Sie es ebenfalls verwenden. Danach: für jeden Dienst ein eigenes Passwort (Passwort-Manager) und Zwei-Faktor-Authentisierung aktivieren.
  3. Prüfen Sie im Konto, ob sich unbekannte Geräte oder Weiterleitungsregeln eingetragen haben (besonders im E-Mail-Konto).

Bank- oder Kartendaten eingegeben

  1. Bank anrufen (Nummer von der Karte oder der Website, nicht aus der Mail) und Online-Banking sperren lassen.
  2. Karte sperren: Sperr-Notruf 116 116 (aus dem Ausland +49 116 116).
  3. Umsätze der nächsten Wochen kontrollieren. Unberechtigte Lastschriften können Sie innerhalb von acht Wochen zurückbuchen lassen; bei nicht autorisierten Kartenzahlungen haftet in der Regel die Bank, solange Sie nicht grob fahrlässig gehandelt haben.
  4. Anzeige erstatten – für die Bank ist die Anzeige oft Voraussetzung für die Erstattung. Wie das geht, steht im Ratgeber Betrug melden.

Anhang geöffnet

Gerät vom Netz trennen (WLAN aus), Virenscan mit aktuellem Scanner, im Zweifel Neuinstallation. Von einem anderen Gerät aus alle wichtigen Passwörter ändern. Wenn das Gerät für Online-Banking genutzt wurde: Bank informieren.

Sichern Sie in jedem Fall die Mail als Beweis (nicht löschen, Quelltext speichern) – Anleitung unter Beweise sichern.

Phishing melden – so helfen Sie anderen

Gemeldete Mails werden ausgewertet, Domains gesperrt und Warnungen veröffentlicht. Diese Stellen nehmen Meldungen entgegen:

  • Verbraucherzentrale NRW, Phishing-Radar: Mail weiterleiten an phishing@verbraucherzentrale.nrw. Die aktuellen Warnungen des Radars finden Sie auch in unseren aktuellen Betrugswarnungen.
  • Der nachgeahmte Anbieter: PayPal (phishing@paypal.com), Amazon (stop-spoofing@amazon.com), DHL (phishing-dpdhl@dhl.com), Ihre Bank über die bekannte Service-Adresse.
  • Ihr E-Mail-Anbieter: Die Funktion „Phishing melden“ oder „Als Spam melden“ verbessert die Filter für alle Nutzer.
  • Polizei: Bei entstandenem Schaden immer Anzeige erstatten – online über die Wache Ihres Bundeslandes.

Wichtig beim Weiterleiten: Am besten als Anhang weiterleiten, damit die Kopfzeilen (Header) erhalten bleiben. Sie enthalten den tatsächlichen Absendeserver.

Warnzeichen auf einen Blick

  • Absenderadresse endet nicht auf die bekannte Domain des Anbieters (z. B. „sparkasse-service24.com“ statt „sparkasse.de“)
  • Link-Ziel weicht vom Linktext ab oder enthält den Markennamen nur als Subdomain („paypal.de.login-check.net“)
  • Sie sollen PIN, TAN, Passwort, Kartendaten oder ein Ausweisfoto eingeben
  • Unerwarteter Anhang: ZIP, HTML, Office-Datei mit Makros, angebliche Rechnung oder Mahnung
  • Zeitdruck und Drohung: Sperrung, Mahngebühren, Inkasso, „innerhalb von 24 Stunden“
  • Angebliche Kleinstgebühr (1,99 € Zoll, 0,99 € Versand) – dient nur dem Abgreifen der Kartendaten
  • Unpersönliche Anrede oder falsche Anrede
  • Das Anliegen passt nicht zu Ihnen: kein Paket bestellt, kein Konto bei diesem Anbieter
  • Sicherheitswarnung („neues Gerät“, „verdächtige Anmeldung“) mit Link statt Hinweis auf die App
  • Telefonnummer in der Mail, die Sie „bei Fragen“ anrufen sollen

So schützen Sie sich

  • Loggen Sie sich nur über die App oder die selbst eingetippte Adresse ein – nie über Links aus E-Mails
  • Aktivieren Sie Zwei-Faktor-Authentisierung bei E-Mail, Bank, PayPal und Amazon
  • Nutzen Sie für jeden Dienst ein eigenes Passwort – ein Passwort-Manager macht das mühelos
  • Prüfen Sie bei jeder Aufforderung Absenderadresse und Link-Ziel, bevor Sie irgendetwas tun
  • Öffnen Sie keine unerwarteten Anhänge, auch nicht von bekannten Absendern, ohne Rückfrage
  • Halten Sie Betriebssystem, Browser und Virenschutz aktuell
  • Verwenden Sie für Online-Banking nach Möglichkeit ein eigenes Gerät oder zumindest einen separaten Browser
  • Prüfen Sie regelmäßig auf haveibeenpwned.com, ob Ihre E-Mail-Adresse in Datenlecks auftaucht

Betroffen? Das sollten Sie jetzt tun

  1. Passwort beim echten Anbieter sofort ändern – über App oder selbst eingetippte Adresse – und überall, wo Sie es ebenfalls nutzen
  2. Bank informieren und Online-Banking sperren lassen, wenn Bankdaten betroffen sind; Karte über 116 116 sperren
  3. Umsätze und Kontoaktivitäten in den nächsten Wochen genau prüfen; unberechtigte Lastschriften zurückbuchen
  4. Mail als Beweis sichern (Quelltext speichern, Screenshots) und Anzeige erstatten
  5. Phishing beim Anbieter und beim Phishing-Radar der Verbraucherzentrale melden
  6. Nach geöffnetem Anhang: Gerät vom Netz trennen, Virenscan, Passwörter von einem anderen Gerät ändern

Passende Prüf-Seiten

Verwandte Ratgeber

Aktuelle Warnungen zum Thema

Häufige Fragen

Woran erkenne ich eine Phishing-Mail am schnellsten?

An drei Stellen: der vollständigen Absenderadresse (nicht dem Anzeigenamen), dem tatsächlichen Link-Ziel (Maus über den Link halten oder am Handy gedrückt halten) und der Aufforderung. Sollen Sie Passwort, TAN oder Kartendaten eingeben oder einen unerwarteten Anhang öffnen, ist die Mail Phishing.

Was passiert, wenn ich eine Phishing-Mail nur geöffnet habe?

Das Öffnen der Mail selbst ist in aller Regel ungefährlich. Gefährlich wird es erst, wenn Sie einen Link anklicken und dort Daten eingeben oder einen Anhang ausführen. Löschen Sie die Mail und melden Sie sie, wenn Sie möchten, beim Phishing-Radar.

Ich habe auf den Link geklickt – was muss ich tun?

Haben Sie nichts eingegeben, schließen Sie die Seite und lassen einen Virenscan laufen. Haben Sie Daten eingegeben, ändern Sie sofort das betroffene Passwort beim echten Anbieter, informieren bei Bank- oder Kartendaten Ihre Bank, sperren die Karte über 116 116 und erstatten Anzeige.

Fragt meine Bank jemals per E-Mail nach PIN oder TAN?

Nein. Banken, Sparkassen, PayPal und Behörden fragen niemals per E-Mail, SMS oder Telefon nach PIN, TAN, vollständigen Kartendaten oder Passwörtern. Jede solche Aufforderung ist Betrug – auch wenn Logo und Sprache perfekt aussehen.

Wo kann ich Phishing-Mails melden?

Beim Phishing-Radar der Verbraucherzentrale NRW (phishing@verbraucherzentrale.nrw), beim nachgeahmten Anbieter (z. B. phishing@paypal.com, stop-spoofing@amazon.com) und über die Melden-Funktion Ihres E-Mail-Programms. Bei einem finanziellen Schaden erstatten Sie zusätzlich Anzeige bei der Polizei.

Was ist der Unterschied zwischen Spam und Phishing?

Spam ist unerwünschte Werbung und meist nur lästig. Phishing gibt sich als vertrauenswürdiger Absender aus und will Ihre Zugangsdaten, Kartendaten oder Geld. Spam löschen Sie einfach; bei Phishing sollten Sie nicht klicken, die Mail melden und dann löschen.

Bekomme ich mein Geld zurück, wenn Betrüger mein Konto geplündert haben?

Bei nicht autorisierten Zahlungen muss die Bank den Betrag in der Regel erstatten, es sei denn, Sie haben grob fahrlässig gehandelt – etwa TANs am Telefon weitergegeben. Melden Sie den Schaden sofort, sperren Sie den Zugang und erstatten Sie Anzeige; das verbessert Ihre Position deutlich.

Kann ich eine verdächtige Mail irgendwo prüfen lassen?

Ja. Mit dem E-Mail-Check des Betrugs-Checkers fügen Sie den Text ein oder leiten die Mail weiter. Geprüft werden Absender, Kopfzeilen, Links und Anhänge; Sie erhalten eine Einschätzung mit Begründung. Der Basis-Check ist kostenlos und ohne Anmeldung.

Quellen und weiterführende Informationen